الأمن السيبراني المالي للمنشآت الصغيرة: حماية أصولك الرقمية من التهديدات المتطورة

يعتقد الكثير من أصحاب الأعمال أن 'من سيهتم باختراق محل صغير؟'. الحقيقة أن المخترقين يستخدمون أدوات آلية تبحث عن الثغرات في أي مكان. المنشآت الصغيرة غالباً ما تستخدم برامج مقرصنة أو أنظمة قديمة غير محدثة، مما يجعلها 'صيداً سهلاً'. الهدف قد يكون سرقة أموال، أو طلب فدية (Ransomware) مقابل إعادة تشغيل بياناتك، وهو أمر قد يدمر نشاطك التجاري بالكامل.

الأمن السيبراني يبدأ من الداخل. إعطاء صلاحيات 'المدير' لكل الموظفين هو خطأ فادح. يجب أن يرى المحاسب فقط ما يخص المحاسبة، والبائع فقط ما يخص نقاط البيع. تقليل صلاحيات الوصول يقلل من 'مساحة الهجوم'. في حال اختراق حساب أحد الموظفين، يظل الضرر محدوداً ولا يصل لكامل قاعدة البيانات. نظام سند يتيح لك إدارة دقيقة جداً للصلاحيات لكل مستخدم.

تخزين حساباتك على جهاز كمبيوتر في المكتب يعرضك لمخاطر فيزيائية (حريق، سرقة الجهاز) ومخاطر تقنية (تعطل الهاردسك). السحابة (Cloud) توفر حماية احترافية لا يمكن لشركة صغيرة توفيرها محلياً. البيانات في السحابة تُشفر وتُحفظ في مراكز بيانات محمية بحراسة مشددة وأنظمة إطفاء حرائق متطورة، مع نسخ احتياطي دوري يضمن عدم ضياع أي معلومة.

في سند، نضع الأمن في مقدمة أولوياتنا. نستخدم بروتوكولات تشفير متطورة (SSL) لحماية البيانات أثناء انتقالها بين جهازك وسيرفراتنا. كما نطبق سياسات صارمة للنسخ الاحتياطي التلقائي. باختيارك لسند، أنت تنقل عبء الأمن السيبراني من عاتقك إلى فريق من الخبراء التقنيين المتخصصين، مما يتيح لك التركيز على إدارة عملك براحة بال تامة، مع الالتزام الكامل بضوابط الهيئة الوطنية للأمن السيبراني.

ليست كل الأطر السيبرانية ملزمة لكل منشأة. تحديد ما ينطبق عليك يمنع الاعتماد على افتراضات خاطئة.

نطاق الضوابط الأساسية للأمن السيبراني (ECC 2-2024) الصادرة عن الهيئة الوطنية للأمن السيبراني محدد نصاً: الجهات الحكومية وشركاتها والجهات التابعة لها، إضافة إلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف البنى التحتية الوطنية الحساسة. وتشجّع الهيئة بقية الجهات في المملكة على الاستفادة من هذه الضوابط كأفضل ممارسة. أي أن متجرك أو مكتبك المحاسبي ليس مخاطباً بها إلزاماً ما لم يدخل في ذلك النطاق، لكنها تبقى أوضح مرجع تقني متاح.

في المقابل، هناك التزامات تسري عليك فعلاً لمجرد أنك تحتفظ ببيانات عملاء وتُصدر فواتير:

والمادة الثالثة والعشرون من اللائحة التنفيذية لنظام حماية البيانات الشخصية تُلزم جهة التحكم باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لأمن البيانات، وبالالتزام بالضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني. فالضوابط تصل إليك من باب حماية البيانات حتى لو لم تكن مخاطباً بها مباشرة.

قرار الضوابط والمتطلبات والمواصفات الفنية للفوترة الإلكترونية لا يكتفي بتحديد شكل الفاتورة، بل يحدد وظائف يُمنع وجودها داخل البرنامج. تفعيل أي منها يجعل الحل غير ملتزم بمتطلبات الهيئة.

الخلاصة العملية: البرنامج الذي يسمح لموظف بحذف فاتورة صادرة أو تعديل تاريخها ليس مرناً، بل مخالفاً. تصحيح الخطأ يكون بإشعار دائن أو مدين لا بالحذف. راجع متطلبات الفوترة الإلكترونية وتفاصيل الموجات قبل اعتماد أي حل، خصوصاً في نقاط البيع التي تصدر فواتير مبسطة تحتاج ختماً تشفيرياً وعدّاداً غير قابل للتصفير.

النسخ الاحتياطي ليس ترفاً تقنياً، بل التزام نظامي بمدة محددة ومكان محدد.

• ست سنوات على الأقل للفواتير والدفاتر والسجلات والمستندات المحاسبية، تُحسب من نهاية الفترة الضريبية التي تخصها.
• الأصول الرأسمالية: مدة التعديل المقررة لها مضافاً إليها خمس سنوات، تبدأ من تاريخ اقتناء الأصل.
• سجل أنشطة معالجة البيانات الشخصية: طوال مدة استمرار العمليات، إضافة إلى خمس سنوات بعد انتهائها.

واللائحة التنفيذية لضريبة القيمة المضافة تشترط حفظ السجلات باللغة العربية، وحفظها داخل المملكة ورقياً أو إلكترونياً عبر نقطة وصول داخل المملكة إلى الخادم أو قاعدة البيانات. كما تُلزم المكلف باتخاذ التدابير الأمنية والضوابط الكافية القابلة للمراجعة لمنع العبث بالفواتير والمستندات والسجلات الإلكترونية، وتعطي الهيئة حق مراجعة الأنظمة والبرامج المستخدمة في إعداد السجلات إلكترونياً.

السؤال الذي يجب طرحه على مزود نظامك المحاسبي: أين تُستضاف البيانات، وهل أستطيع الوصول إليها وإخراجها من داخل المملكة عند الطلب؟

المادة الرابعة والعشرون من اللائحة التنفيذية لنظام حماية البيانات الشخصية تُلزم جهة التحكم بإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت علمها بحادثة التسرب، إذا كان من شأنها الإضرار بالبيانات أو بصاحبها أو التعارض مع حقوقه ومصالحه. ويُشعَر صاحب البيانات دون تأخير غير مبرر.

أغلب المنشآت تكتشف الحادثة ثم تستهلك اليوم الأول في فهم ما جرى. جهّز مسبقاً:

• حصر لما تملكه من بيانات: أي جدول يحوي أسماء عملاء وأرقام جوالات وعناوين وبيانات سداد.
• اسم واحد ورقم واحد لمن يبلّغ ويوقف الخدمة، لا لجنة تجتمع.
• سجلات دخول وتغيير محفوظة، لأن الإشعار يتطلب وصف الحادثة ووقتها وكيفية وقوعها وفئات المتأثرين وأعدادهم.
• نسخة احتياطية جُرِّبت استعادتها فعلياً. النسخة التي لم تُختبر ليست نسخة.

والعقوبات ليست رمزية. إفشاء أو نشر بيانات حساسة بالمخالفة للنظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية عقوبته السجن مدة لا تزيد على سنتين أو غرامة لا تزيد على ثلاثة ملايين ريال أو كلتاهما، وللمحكمة مضاعفة الغرامة في حال العود. وما عدا ذلك من المخالفات عقوبته الإنذار أو غرامة لا تزيد على خمسة ملايين ريال، وتُضاعف عند تكرار المخالفة.

الضوابط الأساسية للأمن السيبراني تصلح مرجعاً عملياً حتى لمن هو خارج نطاق إلزامها. أقرب بنودها إلى واقع منشأة صغيرة:

• المصادقة متعددة العوامل للوصول عن بُعد وللبريد ولحسابات المستخدمين، مع تحديد عدد عوامل المصادقة وتقنياتها بناءً على تقييم الأثر.
• إدارة التحديثات والحزم الأمنية للأنظمة والتطبيقات والأجهزة، مع التحقق من سلامة التحديث في بيئة غير إنتاجية قبل تطبيقه.
• مزامنة الوقت مركزياً من مصدر دقيق وموثوق. هذا البند يخدم مباشرة متطلب دقة الطوابع الزمنية في الفوترة.
• نطاق نسخ احتياطي يغطي الأصول التقنية والمعلوماتية الحرجة، مع قدرة على الاستعادة السريعة واختبار دوري لفاعليتها.
• تشفير البيانات أثناء النقل وفي حالة السكون بحسب تصنيفها والمتطلبات النظامية.

ابدأ بالمصادقة متعددة العوامل واختبار الاستعادة. هما أقل البنود كلفة وأكبرها أثراً.

قبل توقيع أي عقد، اطلب إجابات مكتوبة عن هذه الأسئلة واحفظها في ملف الالتزام لديك:

• هل يمنع النظام حذف أو تعديل الفواتير الصادرة، وكيف يعالج الأخطاء بعد الإصدار؟
• هل توجد سجلات دخول وتغيير غير قابلة للتعديل أو الحذف، وما مدة الاحتفاظ بها؟
• ما وتيرة النسخ الاحتياطي، ومتى جُرِّبت الاستعادة آخر مرة، وما زمن الاستعادة المتوقع؟
• أين تُخزَّن البيانات، وكيف أستخرجها كاملة بصيغة قابلة للقراءة إن قررت الانتقال؟

الوعد الشفهي لا يُقدَّم في مراجعة نظامية. الوثيقة تُقدَّم.